Anomalien erkennen, Backups schützen Ransomware und die Renaissance des Backups

Anbieter zum Thema

Kyndryl Deutschland GmbH

WatchGuard Technologies GmbH

Impossible Cloud GmbH

XOPERO SOFTWARE S.A.

Angesichts der steigenden Anzahl an Ransomware-Attacken konzentrieren sich immer mehr Unternehmen auf den Schutz ihrer IT-Systeme. Über den Erfolg entscheidet unter anderem eine saubere Datensicherung mit Backup.

Ransomware ist auf dem Vormarsch: Seit mehr als drei Jahren in Folge ist diese Art der Schadsoftware der am häufigsten beobachtete Angriffstyp, wie aus dem IBM X-Force Threat Intelligence Index hervorgeht. Jede fünfte bemerkte Cyber-Attacke war ein Ransomware-Angriff.

Welche Auswirkungen das in Deutschland hat, zeigt eine Studie von IDC, in der Security-Verantwortliche von 200 Unternehmen befragt wurden. Demnach haben mehr als zwei von fünf Firmen bereits Daten aufgrund einer Ransomware-Attacke verloren – und damit einen enormen wirtschaftlichen Schaden erlitten. Um dieses Risiko möglichst gering zu halten, gilt es, Ransomware schnell aufzuspüren und unschädlich zu machen.

Im Kampf gegen Ransomware nimmt das Backup, das lange Zeit nur eine untergeordnete Rolle im Bereich der Informationssicherheit spielte, mittlerweile einen entscheidenden Part ein. Denn durch die schiere Masse an Ransomware-Attacken und ihrem teilweise perfiden Vorgehen hat sich die allgemeine Sichtweise auf die Datensicherung grundlegend verändert. Zumal ein Großteil der in der IDC-Studie befragten Unternehmen, die ihre Daten nach einem Angriff retten konnten, angibt, dass dies nur aufgrund sauberer Backups möglich war.

Ransomware entwickelt sich stetig weiter

Um den gestiegenen Stellenwert des Backups zu verstehen, lohnt sich ein Blick auf die Ransomware „Emotet“. Der Trojaner wurde zum ersten Mal im Jahr 2014 entdeckt und hat zum Ziel, die gesamte IT von Behörden und Unternehmen lahmzulegen. Dafür dringt die Malware über unachtsame User unbemerkt ins System ein und erlangt Zugriff.

Das Besondere an „Emotet“: Die Schadsoftware kann nicht nur Daten verschlüsseln, sondern auch eigene Botnets etablieren und durch nachgeladene Hilfsprogramme sogar Brut-Force-Attacken durchführen. Bei dieser Angriffsmethode werden mithilfe des Einsatzes hoher Rechenleistung abgesicherte Zugänge aufgebrochen, indem Nutzer-Passwort-Varianten und -Kombinationen wiederholt und systematisch eingegeben werden.

„Emotet“ arbeitete schon 2014 sehr effektiv. Seitdem haben Hacker die Schadsoftware stetig weiterentwickelt: Die neueste Version soll ein ausgebautes Botnet haben, das Installer auf 64-Bit-Basis verteilt. Laut Kaspersky „feiert“ die Ransomware aktuell ein Comeback – und das ein Jahr nach ihrer Zerschlagung. Allein im Februar und März dieses Jahres soll sich die Zahl der Angriffe verdreifacht haben.

Schädliche Schnipsel verteilen sich überall

Neben „Emotet“ gibt es zahlreiche weitere Ransomware. Dabei ist nicht nur die schiere Masse zu beachten, sondern vor allem die Raffiniertheit der Hacker: Neuere Schadsoftwares wie Conti oder Sodinokibi agieren noch weitaus intelligenter als „Emotet“. Sobald sie in einem System sind, können sie sich für eine gewisse Zeit auf einem oder mehreren Rechnern, Servern oder Speichergeräten verstecken – und dort auf den perfekten Angriffszeitpunkt warten.

Das Perfide daran: Die Ransomware kann sich fragmentieren und ist so mit Big Data-Auswertungen von SIEM-Systemen kaum zu erkennen. Selbst im defragmentierten Zustand – also, wenn sie sich nach teils mehrmonatigem Versteckspiel aktiviert – taucht diese Schadsoftware in der Big-Data-Wolke aus Alerts, Logs und Scan-Daten einfach unter. So kann sie teilweise hunderte oder gar tausende Status-Logs pro Sekunde erzeugen.

Sichtbar werden die kleinen Datenfragmente der Ransomware nur mithilfe einer gezielten Untersuchung in einem „Clean Room“, in dem nach dem Angreifer gesucht wird. Je später die Schadsoftware entdeckt wird, desto verheerender können die Auswirkungen sein. Und genau hier, als Teil eines Cyber Incident Recovery-Konzepts, erlebt das Backup seine Renaissance.

Backup sauber halten und Schäden minimieren

Bei einem Cyber Incident Recovery-Konzept, kurz CIR-Konzept, werden die Daten-Snapshots von Produktions- und Konfigurationsdaten am besten täglich in einer Schutzzone abgelegt (siehe Bild 1). Bei dieser Zone handelt es sich um einen unveränderbaren Speicher mit Air-Gap-Funktion, die die Daten räumlich von der Produktionsumgebung trennt. Im darauffolgenden „Clean Room“ werden die Dateien auf Ransomware untersucht.

Um Schadsoftware zu entdecken, werden zum einen „Pattern“ – also Muster auf Basis des Referenziersystems CVE – mit den aktuellen Daten verglichen (siehe Bild 2). Zum anderen werden mithilfe von Machine Learning neue Muster zur Analyse erzeugt, um noch unbekannte Ransomware aufzuspüren.

So können untypische Datenstrukturen und andere Anomalien erkannt und infizierte Daten mit hoher Wahrscheinlichkeit entdeckt werden. Stellt sich im „Clean Room“ heraus, dass Daten infiziert sind, gilt es, die betroffenen Komponenten in der Produktion zu überprüfen, sie eventuell auszuschalten und sie mit den sauberen Daten aus dem Backup zu überschreiben.

Dieses Konzept stellt sicher, dass Anomalien schnellstmöglich erkannt werden. Und es sorgt dafür, dass die im Backup enthaltenen Dateien immer sauber sind und im Ernstfall ohne Probleme wieder in die Produktionsumgebung zurückgespielt werden können. Dadurch können Unternehmen und Behörden Schäden an ihren Systemen minimieren und sich vor erfolgreichen Ransomware-Angriffen schützen.

Über den Autor: Torsten Domfeld ist Managing Consultant bei Kyndryl Deutschland. Er beschäftigt sich seit über 30 Jahren mit ganzheitlichen Lösungen für die Bereiche Information Security, Safety, Regulatorik und Security Organisation. Zudem blickt er auf eine langjährige Zusammenarbeit mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und weiteren relevanten Organisationen zum Thema Cyberraum und Angriffsszenarien zurück.

(ID:48633496)